Når danske virksomheder skal finde ud af, hvad de må og ikke må med cookies, peger alle veje tilbage til én kort bekendtgørelse fra 2011. Den er aldrig blevet ændret — men fortolkningen af den er blevet markant strammere. Her er hvad der faktisk står i cookiebekendtgørelsen, hvilke paragraffer der gælder, og hvem der håndhæver dem.
Hvad er cookiebekendtgørelsen?
Cookiebekendtgørelsen er bekendtgørelse nr. 1148 af 9. december 2011 om krav til information og samtykke ved lagring af eller adgang til oplysninger i slutbrugeres terminaludstyr. Den trådte i kraft 14. december 2011 og er stadig gældende i uændret form.
Bekendtgørelsen er udstedt i medfør af § 9 og § 81, stk. 2, i teleloven, og den implementerer dele af ePrivacy-direktivet (2002/58/EF som ændret ved 2009/136/EF). Det er altså ikke GDPR, der regulerer selve det at sætte en cookie — det er denne bekendtgørelse.
Navnet er misvisende. Bekendtgørelsen er teknologineutral og handler om al lagring af og adgang til oplysninger på brugerens udstyr. Den gælder derfor også pixels, fingerprinting, enheds-id'er i apps og oplysninger på IoT-enheder — ikke kun cookies.
Paragrafferne du skal kende
Bekendtgørelsen er kun nogle få sider lang. Tre bestemmelser gør det tunge arbejde:
§ 3 — forbuddet og informationskravet
§ 3, stk. 1 er hovedreglen: du må ikke lagre eller tilgå oplysninger i slutbrugerens terminaludstyr uden brugerens samtykke, og samtykket skal være givet på baggrund af fyldestgørende information.
§ 3, stk. 2 opregner minimumskravene til den information. Brugeren skal oplyses i et klart og letforståeligt sprog om formålet med lagringen eller adgangen, hvem der står bag, og brugeren skal have umiddelbar adgang til at afslå samtykke eller trække det tilbage. Efter § 3, stk. 2, nr. 5 skal informationen desuden være umiddelbart og vedvarende tilgængelig for brugeren.
§ 4 — undtagelserne
Der er to undtagelser fra samtykkekravet. Den ene dækker ren teknisk transmission af kommunikation. Den anden — den relevante i praksis — dækker teknologier, der er teknisk nødvendige for at levere en tjeneste, som brugeren udtrykkeligt har anmodet om.
Den fælles vejledning fra Datatilsynet og Digitaliseringsstyrelsen giver konkrete eksempler på, hvad der falder ind under undtagelsen:
- Teknologier der husker, at brugeren er logget ind
- Elektroniske indkøbskurve
- Brugerdefinerede indstillinger som sprog, skriftstørrelse eller land
- Autentificeringsteknologier på tjenester med begrænset adgang
- Load balancing, der fordeler brugere på servere
Bemærk at undtagelsen er snæver. Levering af skrifttyper fra en tredjepart kan være teknisk nødvendig — men kun hvis tredjeparten udelukkende bruger oplysningerne til at levere skrifttyperne og ikke til at spore brugeren på tværs af hjemmesider.
§ 5 — straffebestemmelsen
§ 5, stk. 1 er kort: "Med bøde straffes den, der overtræder § 3." § 5, stk. 2 gør det muligt at pålægge juridiske personer strafansvar efter straffelovens kapitel 5.
Hjemlen til bødestraffen findes i telelovens § 81, stk. 2, som tillader, at der i regler udstedt efter § 9 fastsættes straf af bøde.
Flere danske artikler og leverandørsider henviser til "§ 12" som straffebestemmelsen. Det er forkert. Straffebestemmelsen i cookiebekendtgørelsen er § 5.
Hvem fører tilsyn?
Ansvaret er delt mellem to myndigheder, og det er værd at holde adskilt:
| Myndighed | Fører tilsyn med | Typisk spørgsmål |
|---|---|---|
| Digitaliseringsstyrelsen | Cookiebekendtgørelsen | Blev der sat teknologier, før brugeren gav samtykke? Er banneret indrettet korrekt? |
| Datatilsynet | Databeskyttelsesreglerne (GDPR) | Var samtykket gyldigt? Er der hjemmel til den videre behandling af personoplysninger? |
Tilsynet med cookiebekendtgørelsen lå tidligere hos Erhvervsstyrelsen. Det fremgår blandt andet af Datatilsynets afgørelse om DMI fra februar 2020, hvor tilsynet netop afgrænsede sin egen kompetence over for Erhvervsstyrelsens.
Afgørelser truffet af Digitaliseringsstyrelsen efter bekendtgørelsen kan påklages til Teleklagenævnet efter telelovens § 76. Den klageadgang er ikke teoretisk — se afsnittet om Google nedenfor.
Vejledningen fra maj 2025
Selve bekendtgørelsen er uændret siden 2011, men i maj 2025 udgav Datatilsynet og Digitaliseringsstyrelsen en fælles vejledning, Brug af cookies og lignende teknologier. Digitaliseringsstyrelsen angiver 16. maj 2025 som seneste opdatering. Den erstatter den tidligere cookievejledning nr. 10189 af 10. december 2019.
Vejledningen ændrer ikke reglerne, men den fjerner en række grå zoner. Den fastslår blandt andet, at:
- Et gyldigt samtykke skal være frivilligt, specifikt, informeret og utvetydigt — og skal kunne dokumenteres
- Samtykket skal kunne trækkes tilbage lige så let, som det blev givet, og uden gebyr
- Forudafkrydsede felter og aktiverede slidere er ikke gyldigt samtykke
- Fortsat brug af hjemmesiden er ikke gyldigt samtykke
- Brugeren skal kunne give særskilt samtykke til hvert overordnet formål (granularitet)
- Retter tjenesten sig mod danske brugere, bør samtykkeløsningen være på dansk
- Det er ofte passende at fornye samtykket én gang årligt
Vejledningen tager også stilling til farvevalg og placering af knapper. Bruger du en tydelig accept-knap og en afvis-knap, der går i et med baggrunden, kan det udgøre nudging og gøre samtykket ugyldigt.
Ansvaret kan ikke placeres hos leverandøren
Et af de mest oversete punkter i vejledningen: ansvaret for at indhente samtykke påhviler dig som tjenesteudbyder. Det gælder også, selvom du har overladt opsætningen til et bureau, en webudvikler eller en samtykkeplatform.
Begrundelsen er, at det er dig, der bestemmer, hvilket indhold der integreres på tjenesten — og dermed også hvilke teknologier der anvendes. Bruger du et værktøj fra en tredjepart, som selv indsamler oplysninger om dine besøgende, er det stadig dit ansvar.
Praksis: Meta og Google fik påbud
I 2022 blev der iværksat tilsyn med cookieløsningerne på da-dk.facebook.com og google.dk, udvalgt på grund af antallet af månedlige brugere. Høringsbrevene blev sendt af Erhvervsstyrelsen, som havde tilsynet indtil december 2022, hvorefter Digitaliseringsstyrelsen overtog sagen. Den 30. oktober 2023 blev der truffet afgørelse og gav begge selskaber tre enslydende påbud: at indføre granularitet i samtykket, at give umiddelbar og vedvarende adgang til at trække samtykket tilbage, og at give adgang til oplysninger om samtlige anvendte teknologier.
Sagen fik et interessant efterspil. Google indbragte afgørelsen for Teleklagenævnet, som den 13. februar 2025 ophævede og hjemviste den — ikke fordi kravene var forkerte, men fordi det ikke var godtgjort, at Google LLC var rette pligtsubjekt efter § 3, stk. 1. Nævnet vurderede, at det var Google Ireland Limited, der havde den praktiske og tekniske kontrol over cookies på google.dk.
Pointen for almindelige danske virksomheder: for dig er der sjældent tvivl om, hvem pligtsubjektet er. Det er dig, der driver hjemmesiden.
Kort opsummeret
- Reglerne står i BEK nr. 1148 af 9. december 2011 — uændret, men strammere fortolket
- § 3 forbyder lagring og adgang uden informeret samtykke, § 4 undtager det teknisk nødvendige, § 5 sanktionerer med bøde
- Digitaliseringsstyrelsen håndhæver bekendtgørelsen, Datatilsynet håndhæver GDPR
- Klageinstans er Teleklagenævnet
- Vejledningen af 16. maj 2025 er den autoritative fortolkning — læs den, ikke leverandørernes resumeer
- Ansvaret er dit, uanset hvem der har sat løsningen op
Skal du finde en løsning, der håndterer samtykket i praksis, kan du se udbyderne side om side på priser, sprog og automatisk blokering.
Kilder
- Bekendtgørelse nr. 1148 af 9. december 2011 — retsinformation.dk
- Cookievejledningen, maj 2025 — angivet som senest opdateret 16. maj 2025 — digst.dk
- Datatilsynet og Digitaliseringsstyrelsen udgiver en fælles vejledning — datatilsynet.dk
- Digitaliseringsstyrelsen giver påbud til Meta og Google — digst.dk
- Teleklagenævnets afgørelse af 13. februar 2025 i Googles klage — naevneneshus.dk
- DMI's behandling af personoplysninger om hjemmesidebesøgende — datatilsynet.dk
